为SAML服务提供商提供适当的安全性

Question

我正在为我的服务添加SSO功能，以允许客户使用其AD帐户登录。为了实现这一点，我使用componentpro.com中的SAML组件 执行安全交互的正确方法是什么：

1. 从IdP方面：除了IdP网址，客户应该为我的服务提供什么？任何只包含公钥的证书？
2. 从SP方面：我应该向客户提供什么？
3. 选择SAML工具使用证书将SAML请求签名到IdP并解密来自IdP的断言。什么是证书（来自以前的问题）？它是否与签名和解密相同？

更新：有关在SAML通信中使用证书的有用link。

Answer 1

1. Normaly这是使用包含IDP端点，密钥等的SAML元数据文件设置的。然后，您的服务会向IDP发送一个类似的元数据文件，其中包含有关您的服务的信息

2. 如果客户是IDP，那么您通常会向他们提供元数据文件。

3. 使用相同的密钥进行签名和加密通常是一个坏主意。阅读讨论here和here